¿Adiós al sideloading en Android? Así funcionará la verificación de desarrolladores
Google ha vuelto a sacudir el ecosistema Android con un anuncio que ha generado preocupación entre desarrolladores independientes y defensores de la privacidad. A partir del próximo año, el sistema operativo bloqueará la instalación de aplicaciones procedentes de desarrolladores no verificados, tanto desde la Play Store como desde fuentes externas.
Este cambio ha despertado temores sobre una posible restricción del sideloading, es decir, la instalación manual de apps fuera de la tienda oficial. Sin embargo, Google ha aclarado que el sideloading seguirá siendo una parte fundamental de Android, aunque bajo un nuevo sistema de verificación.
Un nuevo paso en la instalación de aplicaciones
Actualmente, Android ya realiza varias comprobaciones antes de permitir la instalación de una app, como evitar duplicados de identificadores o verificar que el software no sea malicioso mediante Google Play Protect.
A partir de 2025, se añadirá un paso adicional: el sistema consultará al nuevo servicio Android Developer Verifier, preinstalado en el dispositivo, para confirmar si el desarrollador ha sido verificado. Este servicio evaluará el paquete, la clave de firma y, si es necesario, establecerá conexión con los servidores de Google para validar la autenticidad.
En algunos casos, Android requerirá una conexión activa a Internet para completar la verificación, aunque Google asegura que esto solo ocurrirá en situaciones excepcionales. Para reducir dependencias, el sistema mantendrá una caché local con las apps más populares que ya hayan sido verificadas.
Cómo funcionará la verificación de apps en Android 16
La primera versión del sistema operativo que integrará de forma nativa este mecanismo será Android 16 QPR2, prevista para diciembre. No obstante, la compañía retrasará su aplicación efectiva hasta recopilar métricas y optimizar el sistema.
Estas medidas también se extenderán a versiones anteriores de Android a través de Google Play Protect, aunque con ligeras diferencias, ya que en estos casos el proceso se realizará mediante una aplicación existente y no con el servicio nativo.
Además, Google permitirá que las tiendas de apps externas utilicen un sistema de autenticación llamado pre-auth token, un archivo criptográficamente verificable que evitará llamadas adicionales a los servidores de Google durante la instalación.
Verificación diferenciada para estudiantes y desarrolladores independientes
Para no excluir a la comunidad de desarrolladores amateur, Google introducirá una categoría especial en la Android Developer Console destinada a estudiantes y aficionados, con menos requisitos y exención de la tarifa de registro de 25 dólares.
Sin embargo, estas cuentas tendrán restricciones severas de distribución: las aplicaciones solo podrán instalarse en un número limitado de dispositivos autorizados manualmente. Cada usuario deberá generar un identificador único desde su móvil, que el desarrollador deberá registrar antes de permitir la instalación.
Esta medida busca evitar que cuentas de bajo control sean utilizadas por actores maliciosos para distribuir software potencialmente peligroso. Los desarrolladores podrán convertir sus cuentas a un perfil profesional si desean ampliar su alcance más adelante.
Cómo Google quiere frenar el malware y la suplantación
El nuevo sistema también está diseñado para bloquear a los desarrolladores que distribuyan malware. Cualquier cuenta asociada con software malicioso verá restringidas todas sus aplicaciones, incluso si no fueron creadas directamente por el autor del ataque.
Para evitar fraudes, Google exigirá que los desarrolladores demuestren propiedad legítima de los paquetes de apps firmándolos con las mismas claves originales, sin necesidad de compartirlas con la compañía. Además, se implementarán métodos de verificación avanzados —o “ingredientes secretos”, como los llama Google— para detectar identidades falsas, incluso si son generadas con ayuda de IA.
Qué pasará con la privacidad y las tiendas alternativas como F-Droid
Uno de los mayores temores tras este anuncio es el posible impacto sobre la privacidad y los desarrolladores anónimos. Google reconoce que existen razones legítimas para mantener el anonimato, como en el caso de apps destinadas a activistas o disidentes políticos. Por ello, asegura que no publicará información personal de los desarrolladores, aunque no ha aclarado si la compartirá con gobiernos u otras entidades.
Respecto a las tiendas alternativas como F-Droid, la situación se complica. Google permitirá casos excepcionales de duplicación de nombres de paquete, pero dará prioridad al desarrollador con más instalaciones registradas. Esto podría obligar a los creadores originales a cambiar el identificador de sus aplicaciones, algo que va en contra de la filosofía de distribución libre de F-Droid.
Excepciones para entornos empresariales
En el ámbito corporativo, Google introducirá excepciones. Las aplicaciones instaladas mediante herramientas de gestión empresarial (MDM) podrán instalarse sin verificar al desarrollador, siempre que el dispositivo esté bajo la supervisión de un administrador de TI.
En cambio, las organizaciones que gestionen dispositivos sin conexión a Internet deberán implementar sus propios mecanismos de verificación o permitir conexiones periódicas para cumplir con las políticas de seguridad.
Un equilibrio entre seguridad y libertad
Con estas medidas, Google busca reforzar la seguridad del ecosistema Android sin eliminar por completo la libertad que caracteriza a la plataforma. Sin embargo, la comunidad teme que este nuevo sistema de verificación acabe limitando la innovación y el desarrollo independiente, pilares que durante años han diferenciado a Android de iOS.
La compañía insiste en que el objetivo no es eliminar el sideloading, sino proteger a los usuarios de aplicaciones maliciosas, pero el impacto final dependerá de cómo se apliquen estas políticas y de cuán accesible resulte el proceso para los desarrolladores legítimos.
